Kurz & klar
Die DSGVO gilt in Spanien unmittelbar und verlangt für jede Verarbeitung klare Rollen, eine passende Rechtsgrundlage, nachweisbare Grundsätze und risikogerechte Sicherheit. Einwilligung ist nur eine von sechs Grundlagen. Datenschutzverletzungen sind stets zu dokumentieren; risikobehaftete Fälle sind grundsätzlich binnen 72 Stunden zu melden. Bei hohem Risiko sind Betroffene grundsätzlich unverzüglich zu informieren, vorbehaltlich der Ausnahmen des Artikels 34 Absatz 3.
Die DSGVO in Spanien schützt personenbezogene Daten und verpflichtet Organisationen zu rechtmäßigen, transparenten und nachweisbaren Verarbeitungsprozessen. Neben der unmittelbar geltenden EU-Verordnung konkretisiert spanisches Recht einzelne Bereiche. Für die Praxis zählen nicht nur Datenschutzerklärungen, sondern tatsächliche Rollen, Rechtsgrundlagen, Sicherheitsmaßnahmen und Reaktionswege.
Wann gilt die DSGVO in Spanien oder auf Mallorca?
Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie erfasst die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Auch nichtautomatisierte Verarbeitung fällt darunter, wenn die Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen; die ausdrücklich geregelten Ausnahmen bleiben zu prüfen.
Für den räumlichen Anwendungsbereich ist nicht allein der Serverstandort maßgeblich. Die Verordnung gilt für Verarbeitungen im Rahmen einer Niederlassung in der EU auch dann, wenn die technische Verarbeitung außerhalb der EU stattfindet.
Ein Anbieter ohne EU-Niederlassung kann ebenfalls erfasst sein, wenn er Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten in der EU beobachtet. Ob dies zutrifft, muss anhand des tatsächlichen Angebots, der angesprochenen Personen und der Verarbeitung beurteilt werden.
Wer ist Verantwortlicher und wer Auftragsverarbeiter?
Der Verantwortliche entscheidet über Zwecke und Mittel einer Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten dagegen im Auftrag des Verantwortlichen. Entscheidend sind die tatsächlichen Entscheidungsbefugnisse, nicht nur die Bezeichnung im Vertrag.
Diese Trennung wirkt sich auf Information, Rechtsgrundlage, Sicherheitsentscheidung, Betroffenenrechte und die Behandlung von Datenschutzverletzungen aus. Beauftragt ein Unternehmen einen externen Dienstleister, wird dieser nicht allein durch das Wort „Dienstleister“ zum Auftragsverarbeiter. Zuerst ist zu klären, wer welche Zwecke bestimmt und wer wessen dokumentierten Weisungen folgt.
Welche Grundsätze und Rechtsgrundlagen gelten?
Artikel 5 DSGVO verlangt Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz. Hinzu kommen Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Der Verantwortliche muss die Einhaltung dieser Grundsätze nachweisen können; darin liegt der Kern der Rechenschaftspflicht.
Eine Einwilligung ist nicht für jede Verarbeitung erforderlich und nicht die einzige mögliche Grundlage. Artikel 6 kennt sechs Rechtsgrundlagen. Für jeden Verarbeitungsvorgang muss die tatsächlich passende Grundlage bestimmt und dokumentiert werden. Eine pauschale Formulierung, Daten seien immer nur mit ausdrücklicher Einwilligung zulässig, ist deshalb unzutreffend.
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gehören ebenfalls zum Pflichtenrahmen. Verfahren und Systeme sollen den Schutz nicht erst nachträglich ergänzen, sondern bereits bei ihrer Gestaltung und in der Standardkonfiguration berücksichtigen.
Welche Rechte haben betroffene Personen?
Die DSGVO schützt insbesondere Information, Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Hinzu kommt der Schutz vor ausschließlich automatisierten Einzelentscheidungen unter den jeweiligen gesetzlichen Voraussetzungen.
Diese Rechte gelten nicht pauschal ohne Grenzen. Bei jeder Anfrage sind Identität, konkretes Recht, betroffene Verarbeitung und mögliche gesetzliche Voraussetzungen zu prüfen. Ein belastbarer Prozess ordnet deshalb Eingang, Zuständigkeit, Prüfung, Entscheidung und Nachweis, ohne die Rechte vorschnell abzulehnen oder ungeprüft Daten herauszugeben.
Welche Dokumentation und Sicherheitsmaßnahmen sind erforderlich?
Verantwortliche müssen geeignete organisatorische und technische Maßnahmen umsetzen und ihre Wirksamkeit am Risiko ausrichten. Artikel 32 nennt als mögliche Maßnahmen unter anderem Pseudonymisierung, Verschlüsselung, dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Wiederherstellbarkeit sowie regelmäßige Wirksamkeitstests.
Verantwortliche und Auftragsverarbeiter führen grundsätzlich Verzeichnisse ihrer Verarbeitungstätigkeiten. Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten ist keine pauschale Befreiung: Sie greift nicht bei nicht nur gelegentlicher, risikobehafteter oder besonders sensibler Verarbeitung.
Datenschutz für Unternehmen auf Mallorca folgt dabei denselben risikobezogenen EU- und spanischen Grundregeln. Ein Inselstandort schafft für gewöhnliche privatwirtschaftliche Verarbeitung kein eigenes allgemeines Datenschutzregime. Maßgeblich bleiben der konkrete Datenfluss, die Rollen, die Zwecke, das Risiko und die sachlich zuständige Aufsicht.
Was muss ein Vertrag mit Auftragsverarbeitern regeln?
Ein Auftragsverarbeiter darf grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen tätig werden. Artikel 28 verlangt einen Vertrag oder anderen Rechtsakt mit den vorgeschriebenen Inhalten. Dazu gehören unter anderem Vertraulichkeit, Sicherheitsmaßnahmen, der Umgang mit Unterauftragsverarbeitern, Unterstützung des Verantwortlichen, Löschung oder Rückgabe und die erforderlichen Nachweise.
Ein unterschriebener Vertrag allein belegt noch keine datenschutzkonforme Verarbeitung. Tatsächliche Zugriffe, Weisungen, Unterauftragnehmer, Löschwege und Sicherheitsmaßnahmen müssen mit dem Vertrag übereinstimmen und in der Praxis funktionieren.
Wann sind Folgenabschätzung und Datenschutzbeauftragter nötig?
Eine Datenschutz-Folgenabschätzung ist vor einer Verarbeitung erforderlich, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Für die Entscheidung zählen der konkrete Verarbeitungskontext und die gesetzlichen Kriterien; eine bloße Produktbezeichnung reicht nicht.
Ein Datenschutzbeauftragter ist insbesondere bei Behörden (ausgenommen Gerichte im Rahmen ihrer justiziellen Tätigkeit) sowie dann erforderlich, wenn eine Kerntätigkeit in umfangreicher regelmäßiger und systematischer Überwachung oder in umfangreicher Verarbeitung besonderer Kategorien beziehungsweise strafrechtlicher Daten besteht. Die Pflicht gilt nicht automatisch für jedes Unternehmen. Das spanische Ergänzungsrecht kann weitere Fälle konkretisieren.
Wie wird die DSGVO in Spanien bei Datenschutzverletzungen angewendet?
Eine Verletzung des Schutzes personenbezogener Daten muss zuerst nach ihren Risiken bewertet werden. Die folgenden Pflichten sind voneinander zu unterscheiden:
| Prüfergebnis | Reaktion |
|---|---|
| Datenschutzverletzung, bei der ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist | Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden; eine Verspätung ist zu begründen |
| Voraussichtliches hohes Risiko | Grundsätzlich zusätzliche Information der betroffenen Personen ohne unangemessene Verzögerung; die individuelle Benachrichtigung kann entfallen, wenn geeignete Schutzvorkehrungen die Daten unzugänglich gemacht haben, nachfolgende Maßnahmen das hohe Risiko beseitigt haben oder sie unverhältnismäßigen Aufwand erfordern würde. Im letzten Fall ist stattdessen öffentlich oder vergleichbar wirksam zu informieren. |
| Jede Datenschutzverletzung | Interne Dokumentation von Sachverhalt, Auswirkungen und Abhilfemaßnahmen |
Die 72-Stunden-Frist gilt damit nicht unterschiedslos für jeden IT-Vorfall. Ebenso ist sie nicht pauschal die Frist für die Information betroffener Personen. Ein Auftragsverarbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung, damit dieser seine Bewertung und gegebenenfalls Meldung vornehmen kann.
Welche Rolle hat die AEPD?
Die spanische Ley Orgánica 3/2018 bestimmt die Agencia Española de Protección de Datos (AEPD) als unabhängige Verwaltungsbehörde mit Zuständigkeit im gesamten Staatsgebiet. Für bestimmte öffentliche Bereiche können daneben regionale Behörden innerhalb ihrer gesetzlich begrenzten Zuständigkeit bestehen.
Im privaten Sektor ist die AEPD für eine Meldung insbesondere zuständig, wenn der Verantwortliche seine einzige Niederlassung in Spanien hat. Bei grenzüberschreitender Verarbeitung kommt ihre Zuständigkeit in Betracht, wenn die Hauptniederlassung in Spanien liegt. Ohne EU-Niederlassung ist die Betroffenheit von Personen in Spanien ein maßgeblicher Anknüpfungspunkt. Die tatsächliche Hauptniederlassung und die europäischen Regeln zur Zusammenarbeit der Aufsichtsbehörden sind im Einzelfall zu prüfen.
Wie hoch können Geldbußen sein?
Artikel 83 DSGVO enthält zwei Höchststufen. Je nach Verstoß reichen sie bis 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes und bei schwereren Verstößen bis 20 Millionen Euro oder 4 Prozent; maßgeblich ist jeweils der höhere Betrag.
Diese Werte sind Obergrenzen und keine automatischen Standardbußen. Art, Schwere und Dauer des Verstoßes, Verschulden, Abhilfe und weitere gesetzliche Kriterien beeinflussen, ob und in welcher Höhe eine Sanktion verhängt wird.
Für die in Art. 77 Abs. 1 Ley Orgánica 3/2018 genannten spanischen öffentlichen Stellen gilt eine Sonderregel: Die Aufsicht stellt den Verstoß fest und ordnet gegebenenfalls Abhilfe an; eine Geldbuße verhängt sie nach Art. 77 Abs. 2 nicht.
Häufige Fragen (FAQ)
Braucht jede Verarbeitung eine Einwilligung?
Nein. Artikel 6 DSGVO kennt sechs Rechtsgrundlagen, und Einwilligung ist nur eine davon. Die passende Grundlage muss für den konkreten Zweck bestimmt und dokumentiert werden.
Braucht jedes Unternehmen einen Datenschutzbeauftragten?
Nein. Die Pflicht hängt von den gesetzlichen Fallgruppen, der Kerntätigkeit sowie Art und Umfang der Verarbeitung ab. Spanisches Ergänzungsrecht kann weitere Fälle konkretisieren.
Muss jeder Sicherheitsvorfall binnen 72 Stunden gemeldet werden?
Nein. Eine Behördenmeldung ist grundsätzlich erforderlich; sie entfällt nur, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten führt. Unabhängig von einer Meldung muss jede Datenschutzverletzung intern dokumentiert werden.
Gilt die Grenze von 250 Beschäftigten als generelle Dokumentationsbefreiung?
Nein. Die Ausnahme vom Verzeichnis der Verarbeitungstätigkeiten greift unter anderem nicht bei nicht nur gelegentlicher, risikobehafteter oder besonders sensibler Verarbeitung.
Werden automatisch 20 Millionen Euro Geldbuße verhängt?
Nein. Der Betrag ist eine gesetzliche Höchstgrenze für bestimmte Verstöße. Die konkrete Entscheidung und Bemessung hängen von den Kriterien des Einzelfalls ab.
Quellen
- Europäische Union, Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, amtliche spanische Veröffentlichung im BOE: https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807, abgerufen am 16. September 2026.
- Boletín Oficial del Estado, Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673&lang=es&p=&tn=1, abgerufen am 16. September 2026.
- Agencia Española de Protección de Datos, Brechas de datos personales: notificación: https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/brechas-de-datos-personales-notificacion, abgerufen am 16. September 2026.
